lao推荐序
一个网络安全工作者的实践总结与反思（节选）
肖新光
经过了为期两年的翻译审校工作，由网络空间安全专家黄晟同志协同安天研究院的部分同志组译的《网络空间安全防御与态势感知》一书即将出版。本书是一份专题技术文章合集，同时很负责任地说，也是迄今为止，国内业界在网络空间态势感知领域最为完整和系统的基础理论文献。
本书的主要译者黄晟同志致力于网络安全防御工作十余年，在网络安全规划建设等领域中做了大量有价值和前瞻性的工作。他长期关注国际上的网空安全态势研究成果和先进理念，并发起了本书的翻译工作。他为本书撰写的”译者序”，以问题为导向，通过五个问答的形式，对本书的内容进行了非常深入的概括，并升华为更加清晰凝练的观点。“译者序”中提出了能力导向的规划与建设体系，区分了被戏称为“地图+炮”形式的态势感知与积极防御的指挥控制态势感知，提出了耦合式态势感知的思路，探讨了态势感知的复杂超系统形态，从而形成了一套具备实践指导意义的观点体系。“译者序”不仅对于深入理解书中内容起到了很好的导读作用，而且还对深入理解全球网空态势感知研究成果和理念，明确做好网空态势感知的方法要点，起到非常清晰的价值指向作用，特别是对于进行态势感知相关技术与系统的研发和推动对威胁对抗情境下的安全体系规划有很大的价值。
我作为一名在网络安全威胁对抗领域学习、工作多年的从业者，在学习本书内容，特别是研读本书“译者序”的过程中，看到了我所在的安天团队过去工作实践的不足之处，将一些尚不成熟的总结和反思，赘述于此。
本书作者之一Mica R. Endsley给出了态势感知的经典定义。态势感知是指“在一定时间和空间内观察环境中的元素，理解这些元素的意义并预测这些元素在不久将来的状态”。我站在网络安全工作者的主观视角来理解，特别是从网络安全产品和工程系统研发者的角度来看，网络安全态势感知是由观察、理解、预测三个层级组成的，支撑网空防御决策和行动的复杂行为活动。这种活动，不可能通过单纯人力工作来实现；也不可能不依赖人的交互参与，完全依靠自动化手段来实现；亦不可能借助一个单体系统或工具来完成。正如本书”译者序”中所指出的，“态势感知作为一种综合利用各种已有技术与系统的产品设计模式与运行使用方式，需要以‘多个系统或工具整合+网空防御人员团队’来完成。”
在过去十余年的各种安全规划立项中，有大量的项目冠以“态势感知”名义出现，这些工程项目和产品间形态差异极大，甚至一些单一的流量监测或扫描检测产品也被称为态势感知平台，几乎是“有一千个人，就有一千个态势感知” 。正因为态势感知的概念有较为广阔的内涵，几乎与网络安全检测、防护、分析、研判、决策、处置等各种能力和动作都发生关联，所以导致网络安全工作者很容易从自己的本位视角去理解态势感知。在网络安全工作中，本位视角是必然存在的。管理和职能部门、应急机构通常从社会应急的视角出发，更多偏重对公众关注的事件做出公共预警、全局响应策略并指导互联网层面遏制威胁。部分学界人士为了保证研究问题的收敛，倾向于寻找易于抽象的场景，把安全威胁分析和防护的一些单点或某一层面，转化为某种易于转化的“算法问题”。安全厂商为了保证安全产品的确定性价值和交付边界收敛，通常从应对某种或几种具象威胁的需求出发，进行工程实现，并将这种能力指标化。这种本位视角体现出了领域中不同机构的角色分工定位，我们不能说这些本位视角是错的，但需要考虑其中的经验局限、刻板偏见或利益考量对认知的影响。
态势感知相关工作，无论作为一种状态、一个过程、一种活动还是一个复杂的能力体系，是需要落实到具体目标和场景的，而非单纯宏观、全局的整体威胁情况。从网络安全的业界实践来看，以下三种场景中的工作更多涉及到态势感知能力建设：
第一，赋能机构客户建立防御体系（也包括安全厂商自身的安全防护体系建设）；
第二，赋能监管部门建设监测通报预警能力；
第三，安全厂商的威胁捕获、威胁分析、客户支撑等工作体系的自我建设完善。
在这三类场景下，针对网空威胁，支撑观察、理解、预测能力，辅助决策和行动的一系列综合系统，往往都被称为态势感知平台，但这些场景也有着显著的差异。
本书“译者序”中设问解答了一个关键问题“态势感知应当面向策略调整还是战术响应？”，并明确指出“态势感知还应当面向在宏观层面之下但又高于微观细节的‘中观层面’。”结合当前需求和已有实践来看，目前有两类态势感知平台建设需求：一类是网络安全主管和职能部门，为了掌控宏观态势，推动指导安全策略优化调整而需要的监测型态势感知平台；另一类是重要信息系统和关键信息基础设施的管理者，针对复杂多变的敌情，实现更高效的决策支撑响应行动所需要的战术型态势感知平台。
如“译者序”中指出，“进一步从与高水平威胁的对抗角度来看，由于网空攻击发生速度极快，对高水平威胁行为体长期潜伏后某一次快速发生的突然进攻做到事前或事中阻断可能非常困难。因此，需要结合在中长时间周期中对抗威胁进攻行动所积累的经验知识，根据所监测到的突发事件信息，采用网空态势感知发现潜伏的高级威胁并确定其影响节点范围，指挥对所暴露威胁展开猎杀清除等响应行动，并通过向积极防御体系中的具有实时监控响应能力的设备或系统下发威胁对抗策略，实现对越来越多的‘已知’攻击行动展开实时阻断。”基于这些要求，满足“战术型”态势感知需求远比满足“监测型”态势感知更为困难和复杂。
综合本书各章节内容，参考本书“译者序”，以及在《网络安全纵深防御思考》等文献中的观点和研究成果，结合安天在过去十八年的威胁对抗工作实践，可以看到，做好网络安全态势感知工作应基于以下四点变化。
对手的变化——从应对单点威胁到应对高级网空威胁行为体（略）
视角的变化——从自我闭环走向赋能客户、与攻击者闭环（略）
思路的变化——从网络安全监测平台走向战术型态势感知平台（略）
效果的变化——从单点防护能力到动态综合防御能力（略）
复杂性科学的重要奠基人之一布莱尔?阿瑟（Brina Arthur）曾经询问著名航空工程专家沃尔特?文森蒂（Walter Vincenti），为什么绝少工程师试图奠定他们领域的理论技术，得到的回答是，“工程师只喜欢那些他们能解决的问题。”必须承认，在过去非常长的一段时间里，我们在态势感知和网空防御相关的工作实践中缺少真正意义上的理论层面的思考。而本书的正文和译者序，很大程度上弥补了我们的理论层面思考的匮乏。这体现出“工程师所扮演的内部思考者”是与众不同的。为此，我必须向本书的各位作者和主要译者黄晟同志表示敬意。
我们坚信，我们进一步的研发与工程实践能延展和深化书中那些指向未来的路标。在协助网信主管部门实施监测型态势感知平台的经验基础上，我们正在全力加速战术型态势感知平台研发，以网络安全能力叠加演进为导向，协助用户开展深度结合与全面覆盖的体系化网络安全规划与建设，支撑起协同联动的实战化运行，赋能用户筑起可对抗高级威胁的网络安全防线。这些工作仅靠一个厂商无法完成，而需要由多个能力型厂商组成的良性生态体系。
任重道远。愿与网络安全同仁们携手努力。
译者序（节选）
黄晟
本书是一部关于网络空间安全防御与态势感知的专题学术文章合集，覆盖了网空态势感知研究方面的各个理论要点，并提供了大量面向实践的实验数据和经验教训资料，对从事网空态势感知研究与开发工作的读者具有非常重要的指导作用，而且对广大网络安全从业人员也有较大的参考价值。在本书的前言中，对所涉及各个理论方面的主要内容和贡献价值作了非常清晰的概括介绍，建议读者在阅读正文之前先通过该章节获得对本书的内容结构和各章节间相互关系的整体了解。对于从事网空态势感知领域研究的读者，建议带着在工作中遇到的问题，全面阅读各个章节；对于从事网空安全防御工作并希望加强了解网空态势感知的读者，则建议至少深入阅读《理论基础与当前挑战》章节以理解态势感知的基本概念，深入阅读《传统战与网空战》章节以军事进攻与防御视角了解网空态势感知，并且深入阅读《形成感知》章节以了解围绕着网空安全防御过程有哪些主要角色职责、各自对应的态势感知需求及其所需要的支撑工具。
译者本人在十余年中致力于从事网络安全防御相关工作，并由于参与相关项目，从2013年开始重点关注网络空间态势感知这一热点领域。在参与本书翻译工作的过程中，深刻感受到与我国的网络空间态势感知研究与实践现状相比，国际上在这一相对“年轻”的学术应用领域的相关工作已达到较高水平；因此，也感受到迫切需要将国际上的网空态势感知研究成果和先进理念应用到我国的网络空间防御工作实践中，从而在日益严峻的网络空间威胁环境中为网络强国建设提供安全保障。因此，译者使用业余时间与安天研究院共同完成了本书的翻译工作，并希望通过撰写本序言，以若干个在开展网络空间防御工作中遇到与网空态势感知相关的问题或困惑为引子，结合我们网络安全基础条件和实践工作现状，阐述对本书中的一些重要学术观点和研究成果的理解，从而在一定程度上帮助读者们消化吸收本书中的知识，并为推动实践应用提供一些启发思路。
第一个问题：网络空间防御为什么需要态势感知？
这是一个需要以网络空间发展的视角，从信息网络技术应用发展、安全防护工作模式转变、网络安全防御理念演化、网络安全防御体系建设模式变革与网络安全防御机制创新等多个方面加以考虑才能回答的根本性基础问题。（略）
第二个问题：态势感知是什么？
尝试从网络空间安全防御工作视角加以理解，就是需要将积极防御中各种与指挥控制相关的工作结合至态势感知概念定义的三个层级阶段，按照本书《理论基础与当前挑战》章节中描述的态势感知动态决策模型来实现网络空间态势评估过程，确定对各类型网络空间动态环境信息的输入需求，接收持续监测网络和系统所采集的网空数据和安全事件信息，结合关于工作任务目标、网络与系统架构、威胁情报乃至国际关系与地缘政治环境等上下文信息，形成对潜伏威胁的攻击行动、当前影响节点范围与可带来的网空效应等作出理解，进而对下一步攻击行动、未来影响节点范围与可能造成后果影响等方面作出合理推测和预估，并通过对备选行动方案进行对比评价以确定行动计划，进而有效指挥针对威胁的积极防御响应处置行动。（略）
第三个问题：如何实现态势感知？
事实上，在本书《理论基础与当前挑战》章节描述的态势感知模型中，实现态势感知的过程包含观察、理解和预测三个阶段，虽然从认知过程发展的角度来看也对应着三个层级，但并不意味着这三个层级可以割裂开来分别实现，更不能将其视为三套不同水平的“完整态势感知”体系。还有就是，必须清楚认识到，态势感知的目的是支持决策制定和行动执行，如果止步于观察或理解阶段的态势感知相关过程，仅能达到“感而不为”或“知而不为”的残缺效果。正如本书《认知能力与相关技术》章节所明确指出的，态势感知本身并不是最终目的，而只是在快速演变复杂环境中可被依赖于支持明智决策的手段，因此也是通过作出准确的积极防御决策以有效对抗威胁的先决条件。（略）
第四个问题：如何围绕网空防御人员实现态势感知？
正如本书《理论基础与当前挑战》所指出的，网空防御领域需要一种人机结合的工作方法，将技术系统与人类认知能力融合在一起，从而在各种复杂的网空环境中实现态势感知。而且，本书《形成感知》章节明确指出，实现网空态势感知的实际系统，不仅包括硬件与软件系统，还必须包括制定网空防御高阶决策所需的心理模型。因此，需要通过加强人员与技术系统之间的交互关系，避免“人在闭环外”式自动化机制带来的态势感知损失问题，同时需要如同本书《认知能力与相关技术》章节所描述由入侵检测技术、机器学习技术、信息融合技术与可视化技术相互结合的模式，综合利用技术系统与人员认知能力各自的优点与长处：采用系统的数据处理与信息整合能力应对网络空间海量数据过载和高速流动的挑战，依托训练有素的网空安全分析人员的强大认知能力理解当前情境与发现那些隐藏的潜伏威胁和复杂的攻击行动，交由网空安全防御人员把控响应行动方案并监督响应行动执行过程，并在后续阶段利用系统的自动化响应执行能力对快速发生的已知攻击行动及时作出响应处置。（略）
第五个问题：支持实现态势感知的系统形态是什么？
综合来看，几乎不可能以一个单体系统来满足积极防御对态势感知的多样化需求，而且事实上也存在着大量与态势感知紧密相关的系统设备和工作流程。因此，可能需要对实现态势感知的系统形态作出创新性的探索想定，引入系统工程（System Engineering）理念（Walden等人，2015 ），把威胁情报驱动的积极防御体系作为一个由持续监测体系、协同响应平台、运维工作流/工单系统、知识管理/知识模型/知识工程体系、大数据分析系统、大数据交互式查询系统、可视化系统、大屏幕展示系统等多个构成系统有机组成的复杂超系统（System of Systems），并将“态势感知”作为一个由所有构成系统通过网空安全人员的安全运行工作发挥相互作用以共同实现的一种“涌现特性”。基于这一想定，未来可以采用系统工程方法，体系化地设计以态势感知为中心的威胁情报驱动积极防御体系，并据此在开展新系统建设工作的同时，对原有系统作出适应性调整学术。（略）
j***a 2019-01-29 16:19:55
产品不错，挺好，值得推荐！五星好评